Как сделать исключение в групповой политике для пользователя (компьютера)

Есть несколько способов, которые позволят исключить применение настроек определенной групповой политики Active Directory для некоторых пользователей или компьютеров:

• Использование фильтрации безопасности GPO для ограничения объектов AD, которые могут применить политику (самый простой и удобный вариант)
• Фильтрация области применения GPO с помощью WMI фильтра
• Исключения на уровне Item Level Targeting элементов предпочтений групповых политик. Применимо только для параметров GPO, задаваемых через Group Policy Preferences

Рассмотрим сценарий, когда вы хотите исключить действие групповой политики, настраивающей параметры Windows Update, для определенного компьютера. В этом примере все компьютеры находятся в одном контейнере (OU) Workstations, на который назначена политика gpo_WSUS_workstations.

Если вы хотите исключить несколько компьютеров из-под действия политики, создайте для них отдельную группу безопасности в AD (gpo_WSUS_workstations_exclusions) и добавьте в нее учетные записи компьютеров/пользователей.

1. Откройте консоль управления доменными GPO ( gpmc.msc )
2. Выберите нужную GPO, перейдите на вкладку Delegation и нажмите кнопку Add.
3. По умолчанию политика применяется ко всем объектам AD (группа Authenticated Users)
4. Укажите имя группы (пользователя или компьютера), которую вы хотите исключить из-под действия политики
5. Нажмите кнопку Advanced и установите разрешение Deny для Apply Group Policy.
6. Это запретит всем объектам в указанной группе применять эту групповую политику. Запрещающие разрешения имеют приоритет над разрешающими. Поэтому несмотря на то, что для группы Authenticated Users разрешено применение политики, разрешение Deny будет иметь более высокие приоритет.

Обновите настройки GPO на клиенте (желательно перезагрузить компьютер, обновить членство в группах AD). Затем откройте командную строку и выведите отчет о применённых GPO с помощью команды:

gpresult /r

В отчете видно, что политика WSUS не применилась к этому компьютеру из-за того, что настройки безопасности запрещают это:

The following GPOs were not applied because they were filtered out
WSUS_workstations
Filtering: Denied (Security)

Теперь чтобы добавить в исключения этой GPO другой компьютер, достаточно добавить его учетную запись в группу gpo_WSUS_workstations_exclusions и перезагрузить.

Недостаток рассмотренного способа создания исключений для GPO: администратору нужно вручную добавлять/удалять в группу пользователей/компьютеров, которых нужно исключить из-под действия политики. Если вы хотите, чтобы пользователи или компьютеры автоматически добавлялись/исключались из политики на основании каких-то динамических атрибутов, можно использовать концепцию динамических групп AD или воспользоваться WMI фильтром GPO.

Идея такого WMI фильтра в том, что вы с помощью WQL запроса описываете, которое определяет, к каким объектам будет применяться политика. Например, вы хотите, чтобы политика не применялась к компьютерам, в имени которых содержится ключевое слово adm. В этом случае, можно использовать такой WMI запрос:

SELECT * FROM Win32_ComputerSystem WHERE NOT (Name LIKE '%adm%')

Создайте такой WMI фильтр в консоли GPMC и привяжите к GPO.

Теперь каждый компьютер при загрузке будет проверять такой WMI запрос, и, если он ему не соответствует, такая политика применена не будет.

Есть еще вариант создания исключений для определенных пользователей и компьютеров в GPO. Если вы применяете настройки GPO, расположенные в секции Group Policy Preferences, можно сделать исключения на уровне отдельных параметров с помощью Item Level targeting.

В настройках любого параметра GPP на вкладке Common нужно включить режимItem-level Targeting и настроить правила IS-NOT , которые описывают исключения для применения этого параметра GPO. В этом примере мы настроили исключения политики для определенной группы и компьютера.